Platform
wordpress
Component
drag-and-drop-multiple-file-upload-contact-form-7
Opgelost in
1.3.10
1.3.9.7
CVE-2026-5710 beschrijft een Path Traversal kwetsbaarheid in de WordPress plugin 'Drag and Drop Multiple File Upload for Contact Form 7'. Deze kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op de server te lezen. De kwetsbaarheid treft versies van de plugin tot en met 1.3.9.6. Een update naar versie 1.3.9.7 is beschikbaar om dit probleem te verhelpen.
Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om gevoelige bestanden van de server te downloaden, zoals configuratiebestanden, broncode of database dumps. Dit kan leiden tot datalekken, compromittering van de server en verdere toegang tot het WordPress-systeem. De kwetsbaarheid ontstaat doordat de plugin gebruikersinvoer (mfile[] POST-waarden) gebruikt om bestandsnamen te bepalen zonder adequate validatie of sanitatie. De bestandsnaam wordt direct aan de upload URL toegevoegd, waardoor een aanvaller paden buiten de beoogde upload directory kan manipuleren.
Deze kwetsbaarheid is openbaar bekend en de details zijn beschikbaar. Er zijn momenteel geen meldingen van actieve exploitatie in de wild, maar de eenvoud van de exploitatie maakt het waarschijnlijk dat dit in de toekomst zal gebeuren. De kwetsbaarheid is opgenomen in het CISA KEV catalogus (KEV status pending). Er zijn publieke proof-of-concept exploits beschikbaar.
Exploit Status
EPSS
0.14% (34% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het updaten van de 'Drag and Drop Multiple File Upload for Contact Form 7' plugin naar versie 1.3.9.7 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan het tijdelijk uitschakelen van de plugin. Als dit niet mogelijk is, implementeer dan een Web Application Firewall (WAF) om verzoeken met potentieel kwaadaardige paden te blokkeren. Zoek naar patronen zoals ../ in de POST-data van de upload. Controleer de WordPress server logs op verdachte bestandsaanvragen.
Update naar versie 1.3.9.7, of een nieuwere gepatchte versie
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Path Traversal is a security vulnerability that allows an attacker to access files and directories on a web server that they shouldn't have access to. It's achieved by manipulating file paths in HTTP requests.
If you are using version 1.3.9.6 or earlier of the 'Drag and Drop Multiple File Upload for Contact Form 7' plugin, you are vulnerable. Updating is the only way to fix the vulnerability.
If you can't update immediately, consider temporarily disabling the plugin or implementing firewall rules to block suspicious requests.
There are web vulnerability scanners that can detect this vulnerability. You can also perform manual testing by submitting contact forms with manipulated filenames.
Review all Contact Form 7 plugins you use to ensure they are updated and do not have known vulnerabilities.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.